A vulnerability was detected in crossplane crossplane-runtime up to 2.2.2/2.3.2. This vulnerability affects the function Get of the file pkg/xpkg/client.go of the component ImageConfig. The manipulation results in time-of-check time-of-use.
The attack may be launched remotely. Upgrading to version 2.2.3, 2.3.3 and 2.4.0-rc.1 is able to resolve this issue. The patch is identified as bee99c6cd6ca81878acca2940a2f0a02169fc208.
You should upgrade the affected component.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
crossplane:crossplane-runtime
Ссылки 8
https://vuldb.com/vuln/413395
VDB-413395 | crossplane crossplane-runtime ImageConfig client.go Get toctou
https://vuldb.com/vuln/413395/cti
VDB-413395 | CTI Indicators (IOB, IOC, IOA)
https://vuldb.com/cve/CVE-2026-105163
CVE-2026-105163 | CVE Analysis and Report
https://github.com/advisories/GHSA-mf7q-r4rv-jv94
NVD
https://github.com/crossplane/crossplane-runtime/pull/1038
NVD
https://github.com/crossplane/crossplane-runtime/commit/bee99c6cd6ca81878acca29…
NVD
https://github.com/crossplane/crossplane-runtime/releases/tag/v2.2.3
NVD
https://github.com/crossplane/crossplane-runtime/
NVD